如果一家机构想开放一份“假病历”，常见做法是先看它像不像真数据，再跑几个隐私和模型分数。可这就像凭食材照片和厨房安检，判断一道菜是否适合过敏人群：指标都不错，也不等于能回答那个具体问题。
SynthGuard-ReleaseBench想补上这一步。它不发明新的合成数据生成器，也不再追求一个包打天下的排行榜分数。它要求发布方先说清楚：数据准备给谁用、用来做什么、允许多大误差、防哪一种攻击。然后在查看受保护的审计数据前，把候选方案、检查项目、容差和审计时间表全部锁定。
合成表格数据，是模型生成的仿真记录。它试图保留真实表格的统计规律，又不直接公开原始个人记录。但“记录是假的”不代表它自动安全，更不代表它适合所有分析。本文所有实质性结果均来自作者于 2026 年 8 月 14 日发布的 arXiv 预印本，尚无同行评审、第三方复现或独立基准验证。
先把考题封进信封
这套框架最重要的变化，不是换了评分公式，而是改变发布证据的形成过程。
假设一份合成人口数据要用于训练收入预测模型。发布方需要提前固定目标人群、预测任务和可接受误差。真实数据训练的工作流与合成数据训练的工作流，再到一份受保护数据上接受比较。这里的“受保护”只说明审计数据不能被开发者反复查看，不表示数据或生成器已经获得隐私保证。
锁定审计很像考试前封题：候选生成器、分析项目、容差、生成随机种子和查看审计结果的时间，都要在开封前登记。这样做是为了阻止一种很自然的操作——看见结果不过关，就换模型、删指标或调整阈值，直到找到一个能过的版本。
框架还要求同时报告整个候选方案与分析项目组成的检查面板。检查越多，偶然出现“过关”结果的机会越大，因此它使用同时有限样本界：在数据有限、项目很多的情况下，为全部误差差距一起留出统计余量，而不是逐项挑出最好看的数字。
作者给出一个明确的下界：如果普通有界查询的预算达到受保护审计集的大小，审计集就可能被精确重构。说白了，保密考卷不是可以无限刷新的公共测试集。查询次数必须计数并设上限，用到一定程度后，这份审计集就该被视为已经“花掉”。
另一个下界说明，面板规模修正不是多余的保守处理。候选越多，同时误判的风险确实会上升；忽略候选数量，无法一直维持原先宣称的整体覆盖水平。
过线也不能自动发布
ReleaseBench把四件容易混在一起的事拆开：用途是否够用、特定攻击下观察到的隐私风险、生成机制本身的形式化主张，以及最终由谁批准发布。
其中，威胁模型就是提前说明攻击者知道什么、能访问什么、想推断什么。例如，攻击者可能试图判断某个人是否出现在训练数据中。一次成员推断攻击表现不强，只能说明在这套攻击条件下没有观察到明显风险，不能升级为“数据普遍安全”。反过来，即便某个生成机制拥有形式化隐私主张，也不代表它能把某项小群体统计做准。
因此，技术指标全部过线仍不足以自动放行。框架还检查审计是否被重复使用、有没有临时增加指标、必要证明是否缺失，以及负对照是否按预期失败。负对照是故意做坏的方案，用来确认考题确实能识别明显缺陷。如果连它都通过，问题可能不在候选模型，而在审计本身没有分辨力。
论文中的 health-table 案例正因此被排除：它的负对照也通过了审计。这个案例不能算成功，也不能算失败，只能说明这套设置不足以支持结论。这种“排除”很重要。它避免把一个失灵的测试包装成发布证据。
它真的能区分好坏吗？
作者在 four American Community Survey studies、five non-ACS records、two chronological diagnostics 和一个 sealed prototype 上运行了框架。透明基线通过了部分锁定审计；compact learned models 在预先声明的预算下没有通过。
这里的“未通过”不是判定模型一定差。它只表示：在给定用途、容差和审计样本量下，现有证据不足以证明误差落在允许范围内。原因可能是真有性能差距，也可能是样本太少、容差太严或统计界太宽。
审计结束后的扩展实验使用三个 generation seeds——即三次不同随机起点的生成——重复测试。作者称，当训练数据足够多时，compact learned models 可以通过同一锁定标准；破坏变量依赖关系的对照方案则在所有测试规模下都被拒绝。这为标准并非“只会拒绝”提供了一项证据，但论文摘要没有披露“足够多”对应的具体样本量，结果也只来自这一组扩展实验，不能外推成框架普遍具有良好判别力。
三个随机种子的重复还推翻了此前依据单一种子得到的更细模型排序。这是一个朴素但关键的提醒：生成模型带有随机性，一次结果足以决定是否达到预先规定的门槛，却未必足以支持模型之间细微的名次差别。
更紧的界，仍要提前选
基础证书按损失可能覆盖的完整范围计算不确定性，容易偏宽。论文又给出 variance-adaptive certificate——根据实际观测到的波动调整宽度——以及 anytime-valid certificate——允许在预先有效的规则下随时查看或停止。作者报告，在同一份锁定证据上，这两类证书可把界收紧 two to ten times。
这不是模型效果提升，而是同一证据得到的误差边界更窄。它可能让审计减少“因为尺子太粗而无法判断”的情况。不过，证书类型也必须提前登记。看完结果后再挑最容易过关的算法，仍然属于用审计数据调答案。
对时序数据，论文提出 temporal certificate。时间相邻的记录往往彼此相关，不能简单当作相互独立的样本。该方法把记录分块，并在保留块之间设置缓冲区；代价是丢弃部分记录，并把结论改为针对等权重的数据块。它还依赖一个提前声明的相关范围，范围声明错误，证书也会失效。
为什么值得关注
这项工作的价值，在于把“合成得像不像”改写成“有没有足够证据支持这次具体发布”。同一份数据可能适合训练某类预测模型，却不适合估计小群体比例；可能在某个攻击设定下风险不明显，却仍没有一般性的隐私保证。用途、人群和威胁模型不同，发布结论就不该共用一张万能成绩单。
它也把失败保存下来：不利结果要报告，负对照异常要排除，随机种子改变排序要撤回原结论。论文随附 Zenodo 软件与证据档案，全文共 45 pages、20 figures、11 tables，目标是让审计记录可复查，而不仅留下一个“已通过”的标签。
局限与未知
- 全部实质性结果来自同一研究团队的预印本及配套档案，尚缺同行评审和独立复现。
- 扩展实验没有在摘要中给出 learned models 过线所需的具体训练规模，不能把“数据足够多”当作可执行门槛。
- 作者明确划定边界：ReleaseBench提供的是绑定特定用途的发布证据，不证明任何生成器具有隐私性、安全性或部署就绪状态；最终发布权仍属于人和组织。